CVE-2026-56191: Kritisk fejl i Microsoft Exchange Online

CVE-2026-56191 er en fejl i den måde Microsoft Exchange Online, den skybaserede e-mailservice i Microsoft 365, kontrollerer om en bruger er den, vedkommende siger. Fejlen kaldes ‘improper authentication’ (CWE-287) og betyder, at systemet i visse tilfælde ikke tjekker identitet korrekt, før det giver adgang. En angriber uden gyldigt login kan derfor via internettet få adgang til data eller ændre indhold i en postkasse, som normalt kræver godkendelse. Fejlen ligger i selve Microsoft-tjenesten, ikke i software I selv installerer, så den lukkes fra Microsofts side og ikke ved en lokal opdatering.

Alle danske virksomheder og kommuner, der bruger Microsoft 365 med Exchange Online til e-mail, er potentielt berørt, da det er en skytjeneste og ikke en lokalt installeret version. Det gælder uanset om I kører hybrid Exchange med lokal server, eller er fuldt ude i skyen. Der er ikke angivet specifikke versionsnumre, fordi Exchange Online opdateres centralt af Microsoft for alle kunder.

En angriber kan i praksis læse eller ændre e-mails i en postkasse uden at have gyldigt login. Det kan bruges til at aflytte korrespondance om fakturaer og kontrakter, ændre betalingsoplysninger i en igangværende sag eller sende mails, der ser ud som de kommer fra en kollega. For en dansk SMV kan det ende med fakturasvindel, tab af fortrolige oplysninger eller misbrug af postkassen til at sende videre angreb til kunder og samarbejdspartnere.

CVSS-scoren er 10,0 ud af 10, den højeste mulige. Angrebet kræver ingen adgangskode eller rettigheder på forhånd (PR:N), ingen handling fra en bruger (UI:N) og kan udføres over internettet (AV:N) med lav teknisk kompleksitet (AC:L). Konsekvensen er fuld påvirkning af fortrolighed, integritet og tilgængelighed. Der er ikke rapporteret aktiv udnyttelse på offentliggørelsesdatoen, men den lave adgangsbarriere gør sårbarheden attraktiv, hvis der dukker offentlige detaljer op.

Da fejlen ligger i selve Exchange Online, kan I ikke selv installere en opdatering. I kan derimod bekræfte status og reducere risikoen, mens Microsoft udruller sin egen løsning.

1. Tjek Microsoft 365 Message Center og Security Update Guide for jeres tenant for at se, om Microsoft har bekræftet, at fejlen er lukket for jeres miljø.
2. Kontrollér, at multifaktorgodkendelse (MFA) er aktiveret for alle konti, især administratorer, som ekstra lag hvis autentificeringen svigter.
3. Gennemgå betingede adgangspolitikker (Conditional Access) og lås adgang til kendte lokationer og enheder, hvor det er muligt.
4. Gennemgå login-logs i Microsoft Entra ID for usædvanlige forsøg eller adgang fra ukendte IP-adresser i perioden efter offentliggørelsen.
5. Informér relevante medarbejdere om at være opmærksomme på uventede mails fra interne afsendere i perioden.
6. Kontakt jeres it-leverandør eller os hos Auroa, hvis I ikke selv har adgang til Security Update Guide eller er i tvivl om jeres tenants status.